应执行select user, host, authentication_string from mysql.user where user = '' or authentication_string = '' or authentication_string is null;若返回任意行即存在空密码匿名用户，需结合show grants和select user(), current_user()确认其实际用途后，再用drop user ''@'host';精确删除并flush privileges。
如何确认是否存在空密码的匿名用户
MySQL 中的匿名用户指的是 user 字段为空字符串（''）或用户名为 ''@'host' 的账号，它们可能拥有空密码（authentication_string 为空或 ''），构成安全隐患。直接查 mysql.user 表最可靠：
SELECT user, host, authentication_string FROM mysql.user WHERE user = '' OR authentication_string = '' OR authentication_string IS NULL;
注意：authentication_string 为空字符串 '' 或 NULL 都代表无密码；MySQL 5.7+ 默认使用该字段，旧版本用 Password 字段（已弃用）。
删除匿名用户前必须先检查权限和连接影响
不能直接删，因为某些匿名用户可能是本地管理入口（比如 ''@'localhost'），删了可能导致 root 无法本地登录。先确认哪些是真匿名、哪些实际被依赖：
-
''@'localhost'很可能被系统初始化脚本创建，若未显式设置 root 密码，它可能就是你当前登录所用账号 - 执行
SELECT USER(), CURRENT_USER();：前者显示你登录时声明的用户（可能带 host），后者显示 MySQL 实际匹配到的账号（即生效的user@host）——如果两者一致且是@localhost，说明正通过匿名账号登录 - 检查
SHOW GRANTS FOR ''@'localhost';，若返回USAGE以外的权限（如ALL PRIVILEGES），说明它有实际用途
安全删除空密码匿名用户的正确步骤
确认无误后，按 host 精确删除，避免误删其他账号：
DROP USER ''@'localhost';<br>DROP USER ''@'127.0.0.1';<br>DROP USER ''@'::1';
注意：
-
DROP USER是唯一推荐方式，DELETE FROM mysql.user+FLUSH PRIVILEGES容易遗漏相关元数据（如mysql.proxies_priv），且在 MySQL 8.0+ 可能引发权限缓存不一致 - 每个
DROP USER必须指定完整user@host，不能只写'' - 删除后务必执行
FLUSH PRIVILEGES;（虽然DROP USER内部会触发刷新，但显式执行更稳妥）
为什么有些匿名用户删不掉或删了又出现
常见原因有两个：
- MySQL 初始化时自动重建：如果你用
mysqld --initialize重置数据目录，且未加--init-file或配置skip-grant-tables，它可能再次生成''@'localhost' - 应用或脚本自动创建：某些旧版 PHPMyAdmin、一键安装包（如 XAMPP、WampServer）会在启动时检测并补全缺失的匿名账号
真正根治方法是：确保 root 账号密码已设（ALTER USER 'root'@'localhost' IDENTIFIED BY 'xxx';），再删匿名账号，并在 my.cnf 中加入 skip-name-resolve 减少 host 匹配歧义——空密码问题本质是权限模型松动，不是单纯删账号就能一劳永逸的。
